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(57) Abstract 

Hie invention relates to a method and de- 
vice for sensor monitoring, whereby said sensors 
detect individual management variables or mea- 
sured variables (A, B, C) relating to a process 
(32). The inventive method and device are suit- 
able for use with an electronic stability program 
(ESP) for a motor vehicle. A particularly high 
degree of reliability can be attained by monitor- 
ing the characteristics of the output signals of 
the sensors in a cyclical and sequential manner, 
whereby analytical redundancies are produced 
for a normal operational mode with the aid of a 
multiprocess model (3 1 ) on the basis of process 
management and measured variables (A, B) that 
are not monitored in real time, whereupon said 
redundancies are used along with the output sig- 
nal that is to be monitored in real time in order 
to form (33) a residuum. An error signal (F) 
is produced if the residuum attains a threshold 
value once the residuum has been evaluated (36) 
and compared to said threshold value (35). 
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(57) Zusammenfassung 

Es wird ein Verfahren und cine Vorrichtung zur Oberwachung von Sensorcn, die jeweils einzelne ProzeBfUhrungs- oder 
ProzeBmeBgroBen (A, B, C) eines Prozesses (32) erfassen, beschrieben, das/die insbesondere fur ein elektronisches Stabilitatsprogramm 
(ESP) fur Fahrzeuge geeignet ist. Eine besonders hohe Zuverlassigkeit wird durch eine zyklischsequentielle Uberwachung des Verlaufes 
der Ausgangssignale der einzelnen Sensoren erreicht, indem aus aktuell nicht zu uberwachenden ProzeBfUhrungs- und ProzeBmeBgroBen 
(A, B) mit Hilfe eines MehrfachprozeBmodells (31) fur einen Normalbetrieb analytische Redundanzen erzeugt werden, aus denen mit dem 
aktuell zu Uberwachenden Ausgangssignal ein Residuum gebildet (33) wird. Nach Auswertung des Residuums (36) und Vergleich mit 
einem Schwellwert (35) wird ein Fehlersignal (F) erzeugt, wenn das Residuum den Schwellwert erreicht. 
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Verfahren und Vorrichtung zur Sensoriiberwachung insbesonde- 
re fur ein ESP-System fur Fahrzeuge 

Die Erfindung betrifft ein Verfahren und eine Vorrichtung 
zur Uberwachung von Sensoren, die jeweils einzelne ProzefJ- 
fiihrungs- oder Prozelimeftgroften eines Prozesses erfassen, 
insbesondere fur ein elekt ronisches Stabilitatsprogramm 
(ESP) fur Fahrzeuge. 

Elektronische Stabilitatsprogramme dieser Art sind fahrdy- 
namische Regelsysteme fur Fahrzeuge, die dazu dienen, den 
Fahrer in kritischen Fahrsituationen wahrend des Bremsens, 
Beschleunigens und Lenkens zu unterstiitzen und dort einzu- 
greifen, wo der Fahrer selbst keine direkte Eingr i f f smog- 
lichkeit hat. Das Regelsystem untersturzt den Fahrer beim 
Bremsen, insbesondere auf einer Fahrbahn mit niedrigem oder 
wechselndem Reibwert, auf der das Fahrzeug wegen blockie- 
render Rader nicht mehr steuerbar sein oder ins Schleudern 
geraten konnte, ferner beim Beschleunigen, wobei die Gefahr 
des Durchdrehens der Ant riebsrader besteht, sowie schliefi- 
lich beim Lenken in einer Kurve, in der das Fahrzeug uber- 
oder untersteuern konnte. Insgesamt wird damit nicht nur 
der Komfort, sondern auch die aktive Sicherheit wesentlich 
verbessert. 

Einem solchen Regelsystem liegt ein geschlossener Regel- 
kreis zugrunde, der im Normalbet r ieb des Fahrzeugs typische 
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Regelauf gaben ubernimmt und in extremen Fahrsituationen das 
Fahrzeug so schnell wie moglich abfangen soil. Als Istwert- 
geber sind dabei Sensoren zur Erfassung der verschiedenen 
f ahrdynamischen Parameter von besonderer Bedeutung. Eine 
plausible Regelung setzt voraus, daft die Sensoren den Ist- 
zustand der Regelstrecke korrekt wiedergeben. Dies ist bei 
Fahrstabilitat sregelungen in extremen Fahrsituationen, in 
denen eine Regelabweichung schon innerhalb einer sehr kur- 
zen Zeit ausgeregelt werden mufr, besonders wichtig. Aus 
diesem Grunde miissen bei einem elektronischen Stabilitats- 
programm die ESP-Sensoren (Gierratensensor , Querbeschleuni- 
gungssensor, Lenkwinkelsensor ) standig uberwacht werden. 
Eine entsprechende Online-Sensoruberwatchung hat den Zweck, 
v Fehler in den ESP-Senao^ren fruhzeitig zu erkennen, damit 
eine Fehlregelung, die das Fahrzeug in einen sicherheits- 
kritischen Zustand bringen konnte, ausgeschlossen wird. 

Der Erfindung liegt deshalb die Aufgabe zugrunde, ein Ver- 
fahren und eine Vorrichtung zur Uberwachung von Sensoren 
der eingangsgenannten Art zu schaffen, das/die eine insbe- 
sondere fur ein elekt ronisches Stabilitatsprogramm (ESP) 
fur Fahrzeuge er f orderliche Zuver lassigkeit aufweist. 

Gelost wird diese Aufgabe gemafr Anspruch 1 mit einem Ver- 
fahren der eingangsgenannten Art, das sich auszeichnet 
durch eine zyklisch-sequentielle Uberwachung des Verlaufes 
der Ausgangssignale der einzelnen Sensoren mit folgenden 
Schritten: Erstellen analytischer Redundanzen filr eine ak- 
tuell zu uberwachende Prozeftf uhrungs- oder Prozeftmefigrolie 
aus aktuell nicht zu uberwachenden ProzeBf uhrungs- und/oder 
Prozeftmeftgroften eines aktuell betriebenen Prozesses mittels 
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eines Mehr f achprozefimodells fur einen Normalbetrieb, Erzeu- 
gen von Residuen durch Subtraktion der erstellten, redun- 
danten analytischen Redundanzen von der aktuell zu iiberwa- 
chenden Prozelif uhrungs- oder Prozefimefigroiie, Auswerten der 
Residuen mit einer Residuenauswertef unkt ion und Vergleichen 
des ausgewerteten Residuums mit einem vorgegebenen Schwell- 
wert und Erzeugen einer Fehlermeldung, wenn das Residuum 
den Schwellwert fur mindestens eine vorbestimmte Oberwa- 
chungszeit erreicht. 

Die Aufgabe wird ferner gemafi Anspruch 9 mit einer Vorrich- 
tung der eingangs genannten Art gelost, die sich auszeich- 
net durch eine erste Einrichtung zur Berechnung analyti- 
scher Redundanzen fur eine aktuell zu uberwachende Prozefi- 
fuhrungs- oder Prozefimefigrofie aus aktuell nicht zu uberwa- 
chenden Prozefif uhrungs- und/oder Prozefimefigrofien eines ak- 
tuell betriebenen Prozesses mittels eines Mehrf achprozefimo- 
dells fur einen Normalbetrieb, eine zweite Einrichtung zur 
Erzeugung von Residuen durch Subtraktion der errechneten, 
redundanten analytischen Redundanzen von der aktuell zu 
uberwachenden Prozefif uhrungs- oder Prozefimefigrofie , eine 
dritte Einrichtung zur Auswertung der Residuen mit einer 
Residuenauswertef unktion, eine vierte Einrichtung zur Er- 
zeugung eines Schwellwertes, sowie eine funfte Einrichtung 
zum Vergleichen des ausgewerteten Residuums mit dem 
Schwellwert und zum Erzeugen einer Fehlermeldung, wenn das 
Residuum den Schwellwert fur mindestens eine vorbest immte 
Oberwachungszeit erreicht . 

Die Unteranspriiche haben vorteilhafte Weiterbildungen der 
Erfindung zum Inhalt. 
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Weitere Einzelheiten, Merkmale und Vorteile der Erfindung 
ergeben sich aus der folgenden Beschreibung einer bevorzug- 
ten Ausf uhrungsf orm anhand der Zeichnung. Es zeigt: 

Fig. 1 ein Blockschaltbild eines f ahrdynamischen Regelsy- 
stems ; 

Fig. 2 eine schematische Darstellung der Struktur eines 
ESP-Systems; 

Fig. 3 das Grundprinzip eines Fehlerdiagnosesystems ; 

Fig. 4 eine Struktur eines modellgestut zten Oberwachungssy- 
stem fur die ESP-Sensoren; 

Fig. 5 ein Blockschaltbild einer er f indungsgemaften Sensor- 
uberwachung ; 

Fig. 6a, b, c eine Darstellung der Mefiergebnisse bei einer 
Fehlersimulation; und 

Fig. 7a, b, c eine Darstellung der Meliergebnisse bei einem 
Wedelmanover . 

— , 

Der Vorgang des Autofahrens kann gemafl Figur 1 im rege- 



lungstechnischen Sinne als ein Regelkreis betrachtet wer- 
den, bei dem ein Fahrer 1 den Regler und ein Fahrzeug 2 die 
Regelstrecke darstellt. Die Fuhrungsgrofien sine dabei die 
personlichen Fahrwunsche FW des Fahrers, die er durch eine 
fortlaufende Beobachtung des St rafienver kehrs erstellt. Die 
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Istwerte IF sind die Momentanwerte fur Fahrtrichtung und 
Geschwindigkeit , die der Fahrer uber seine Augen bzw. das 
Fahrgefuhl erfalit. Die Stellgroften SF sind schliefilich der 
Lenkradwinkel , die Stellung des Getriebes sowie die Stel- 
lungen von Gas- und Bremspedal, die von dem Fahrer aufgrund 
der Abweichungen zwischen den Soil- und den Istwerten er- 
stellt werden. 

Eine derartige Regelung wird haufig durch Storungen S wie 
Reibwertanderungen, Fahrbahnunebenheiten , Seitenwind oder 
andere Einflusse erschwert, da der Fahrer diese nicht pra- 
zise erfassen Icann, jedoch bei der Regelung berucksichtigen 
muB. Aus diesem Grunde kann der Fahrer 1 zwar im allgemei- 



Autofahrens zu regeln und zu beobachten, in normalen Fahr- 
zustanden aufgrund seiner Ausbildung und der gesammelten 
Erfahrung ohne Schwier igkeiten bewaltigen. In Extremsitua- 
tionen und / oder bei den genannten aufiergewohnlichen Fahr- 
zustanden, bei denen die physikalischen Reibkraf tgrenzen 
zwischen der Fahrbahn und den Reifen uberschritten werden, 
besteht jedoch die Gefahr, dafc der Fahrer zu spat oder 
falsch reagiert und die Kontrolle uber sein Fahrzeug ver- 
liert. 

Um auch diesen Fahrsituat ionen Rechnung tragen zu konnen, 
wird das f ahrdynamische Regelsystem mit einem unterlagerten 
Regelkreis 3 (ESP) erganzt, der gemafi Figur 1 einen Re- 
gelalgorithmus 4, eine Systemuberwachung 5 und einen Feh- 
lerspeicher 6 umfafit. Gemessene Fahr zus tandsgrofien werden 
dabei der Systemuberwachung 5 und dem Regelalgor ithmus 4 
zugefuhrt. Die Systemuberwachung 5 erzeugt ggf. eine Feh- 




nen die ihm ubertragenen Aufgaben, namlich den Prozeli des 
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lermeldung F, die dem Fehlerspeicher 6 und dem Regelalgo- 
rithmus 4 zugefuhrt wird. Der Regelalgorithmus 4 beauf- 
schlagt dann in Abhangigkeit von den vom Fahrer 1 erzeugten 
StellgroRen das Fahrzeug 2. Mit diesem Regelkreis werden 
typische Regelauf gaben ausgefuhrt. In extremen Fahrsitua- 
tionen wird das Fahrzeug so schnell wie moglich wieder ab- 
gef angen . 

Figur 2 zeigt die Struktur eines solchen Regelkreises , der 
im wesentlichen ein Ant iblockiersystem 10, eine Antriebs- 
schlupf regelung 11 und eine Giermoment regelung 12 umfalit. 
Weiterhin sind ein Gierratensensor 13, ein Querbeschleuni- 
gungssensor 14, ein Lenkwinkelsensor 15, ein Drucksensor 16 
und vier Radgeschwindigkeitssensoren 17 vorgesehen, die so- 
wohl als Istwertgeber zur Ermittlung der Regelabweichung, 
als auch zur Bildung eines Gierratensollwertes und ver- 
schiedener Zwischengroften eingesetzt werden. 

Die von dem Fahrer 1 durch Betatigung eines Gas- und Brems- 
pedals sowie des Lenkrades erzeugten ProzefJf uhrungsgroBen 
werden der Ant riebsschlupf regelung 11, dem Antiblockiersy- 
stem 10 und dem Drucksensor 16 beziehungsweise dem Lenkwin- 
kelsensor 15 zugefugt. Fahrzeugspezif ische Nichtlinearita- 
ten, Schwankungen der Reibwerte, Seitenwind-Einf lusse usw. 
sind als Storungen oder unbekannte GrofJen 18 zusammengef alit 
und beeinflussen die Fahrzeug-Langs- und Querdynamik 19. 
Diese Dynamik 19 wird ferner durch die genannten Fuhrungs- 
groBen sowie die Ausgangssignale einer Motormanagementein- 
heit 20 beeinf lufit und beaufschlagt die Radgeschwindig- 
keitssensoren 17, den Gierratensensor 13, den Querbeschleu- 
nigungssensor 14 sowie den Drucksensor 16. Eine Regelarbi- 
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tration 21, der die Ausgangssignale des Ant iblockiersystems 
10, der Antriebsschlupf regelung 11, der Giermomentregelung 
12 und eines Bremseneingri f f salgorithmus 22 zugefuhrt wer- 
den, dient zur Pr iorita tsverteilung dieser Signaie im Hin- 
blick auf ihr Einwirken auf die Motormanagementeinheit 20 
oder direkt auf die Fahrdynamik 19. Der Bremseneingriff sal- 
gorithmus 22 wird dabei von der Giermomentregelung 12 und 
dem Drucksensor 16 beauf schlagt . Schlieftlich ist eine Fahr- 
zustandser kennung 23 vorgesehen, der die Signaie des Lenk- 
winkelsensors 15, des Gierratensensors 13, des Querbe- 
schleunigungssensors 14 sowie der Radgeschwindigkeitssenso- 
ren 17 zugefuhrt werden und deren Ausgangssignale die Gier- 
momentregelung 12 sowie ein Einspurref erenzmodell 24, mit 
dem eine gewunschte Soll-Gierrate erzeugt wird, beauf- 
schlagt . 

Wie bereits erlautert wurde, kann ein falsches Sensorsignal 
eine gefahrliche unplausible Regelung verursachen. Ein Aus- 
fall des Gierratensensors 13 kann zum Beispiel dazu fuhren, 
daft ein Zusat zgiermoment das Fahrzeug plotzlich zur Seite 
zieht, obwohl der Fahrer geradeaus fahren will. Dies ruhrt 
daher, daft wahrend einer Geradeausf ahrt der Lenkwinkel und 
damit der Sollwert der Gierrate gleich Null ist, der Ist- 
wert der Gierrate wegen des Sensorausf alls jedoch einen un- 
bestimmten Wert hat, so daft die Giermomentregelung 12 zur 
Ausregelung dieser Regelabweichung ein Zusat zgiermoment er- 
zeugt. Aus diesem Grund ist eine Online-Uberwachung der 
Sensoren von grofter Bedeutung. Diese Uberwachung muft einen 
Sensorausf all so fruhzeitig erkennen konnen, daft das ESP- 
System rechtzeitig teilweise oder ganz stillgelegt werden 
kann . 
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Das erf indungsgemafle Sensoruberwachungskonzept besteht aus 
einer mehrstuf igen Funktionali tatspruf ung der Sensoren, in 
der zwei Verfahren angewendet werden: Einerseits wird eine 
elektrische Uberwachung durchgef uhrt , mit der gepruft wird, 
ob die zu uberwachenden Sensorsignale innerhalb ihrer zuge- 
lassenen Fehlerbander liegen. Andererseits wird eine analy- 
tisch redundant gestiitzte Uberwachung vorgenommen, mit der 
die Signale in ihren Gesamtnut zbereichen uberwacht werden. 

In einer ersten Stufe werden durch die elektrische Uberwa- 
chung die Sensorversorgungsspannung und die Verkabelung ge- 
pruft. In einer zweiten Stufe werden solche Sensoren, die 
aufgrund ihrer Bedeutung "intelligent" konstruiert sind, 
laufend durch sich selbst gepruft. Bei einem internen Sen- 
sorausfall geht das Sensorsignal in das Fehlerband. Folg- 
lich lassen sich solche Sensorfehler auch durch die elek- 
trische Uberwachung erfassen. 

Mit der elektrischen Uberwachung wird dabei ausschlieftlich 
gepruft, ob die Sensorsignale in ihren Gul tigkeitsbereichen 
liegen. Eine Erfassung anderer Sensorfehler, wie zum Bei- 
spiel eine falsche oder gelockerte Einbaulage, eine Mas- 
seunterbrechung ist damit jedoch nicht moglich. Aus diesem 
Grunde werden in einer dritten Stufe zyklisch-sequentiell 
die Verlaufe der einzelnen Sensorsignale in ihren Nutzbe- 
reichen uberwacht, und zwar mittels analytischer Redundan- 
zen, die aus den aktuell nicht uberwachten Sensor- 
Ausgangssignalen aufgrund ihrer physikalischen Abhangigkei- 
ten berechnet werden. Hierfur wird ein modellgestut ztes 
ESP-Uberwachungs- und Fehlerdiagnosesystem geschaffen, des- 
sen Grundstruktur in Figur 3 dargestellt ist. 
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Das Fehlerdiagnosesystem 100 besteht im wesentlichen aus 
zwei Teilen, namlich einem Residuengenerator 30 und einer 
Residuenauswerteeinheit 34 . 

Der Residuengenerator 30 umfaftt eine erste Einrichtung 31 
zur Berechnung analytischer Redundanzen aus aktuell nicht 
zu uberwachenden Prozeflf uhrungsgroften A und/oder den durch 
einer. aktuell betriebenen Prozeft 32 erzeugten und aktuell 
nicht zu uberwachenden Prozeftmeftgroften B, und zwar fur eine 
aktuell zu uberwachende Prozeftf uhrungs- oder ProzefJmeGgrofte 
C unter Anwendung eines Mehrf achprozefimodells (G1-G4; Ql- 
Q4; L1-L4, siehe unten) fur einen Normalbetrieb . Weiterhin 
ist eine zweite Einrichtung 33 zur Erzeugung von Residuen r 
durch Subtraction der errechneten, redundanten analytischen 
Redundanzen von der aktuell zu uberwachenden Prozefifiih- 
rungs- oder Prozeftmeftgrofte C vorgesehen. 

Die Residuenauswerteeinheit 34 umfaftt eine dritte Einrich- 
tung 36 zur Auswertung der Residuen r mit einer Residuen- 
auswertef unkt ion, sowie eine vierte Einrichtung 35 zur Er- 
zeugung eines Schwel lwertes . Dieser Einrichtung 35 werden 
auch die aktuell nicht zu uberwachenden Prozeftf uhrungs- 
und/oder Prozeftrneftgroften A, B zugefuhrt, urn den Schwellwert 
bei einer relativ hohen Ungenauigkeit des Mehrf achprozeftmo- 
dells anheben und bei einer relativ geringen Ungenauigkeit 
des Modells absenken zu konnen. Schliefilich ist eine funfte 
Einrichtung 37 zum Vergleichen des ausgewerteten Residuums 
mit dem Schwellwert und zum Erzeugen einer Fehlermeldung F 
vorgesehen, wenn das Residuum den Schwellwert fur minde- 
stens eine vorbestimmte Uberwachungszeit erreicht. 
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Zur Verdeutlichung der der Erfindung zugrundeliegenden Pro- 
blematic, sowie zum Verstandnis der in Figur 3 allgemein 
dargestellten er f indungsmaften Losung sollen zunachst fol- 
gende Hintergrundinf ormationen gegeben werden: 

Bei Verwendung nur eines einzigen Prozelimodells (anstelle 
eines Mehrf achmodells) zur Residuenerzeugung kann man zwar 
bereits Inf ormationen liber den aktuellen ProzeBzustand und 
damit auch uber mogliche Fehlf unktionen gewinnen. Aller- 
dings hangt die Leistungsf ahigkeit sehr stark von der Qua- 
litat des angewandten Proze&modells ab. Wenn die Ungenauig- 
keiten des Prozefimodells steigt, ist es erf orderlich, den 
Schwellwert zu erhohen, urn einen Fehlalarm zu vermeiden. 
Dies hat dann wiederum zur Folge, daft zahlreiche Fehler un- 
bemerkt bleiben. Versucht man im Gegensatz dazu, die Genau- 
igkeit des Prozefimodells zu erhohen, was gleichzeitig eine 
Steigerung der Modellkomplexitat bedeutet, so scheitert man 
in der Praxis haufig an dem mit der Implementierung des Mo- 
dells verbundenen hohen Aufwand bei der Online-Berechnung 
und dem hohen Anspruch an die Entwicklung und Wartung. 
Folglich spielt ein Kompromifi zwischen der Modellgenauig- 
keit und der Einstellung der Schwellwerte und damit der Sy- 
stemempf indlichkeit eine zentrale Rolle bei der Entwicklung 
eines model lgestiit zten ESP-Fehierdiagnosesystems . 

Zu berucksichtigen ist dabei auch, daft der Prozeft des Auto- 
fahrens bekanntlich in starkem Mafte durch viele unbekannte 
Umgebungsf aktoren gepragt ist. Hinzu kommt noch, dafi die 
Fahrdynamik nur bis zu einem gewissen Grad mathematisch be- 
schrieben werden kann. Andererseits ist die Grenze der Im- 
plement ierbarkeit von Anfang an durch die Hardware- 
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( 



? Bedingung festgelegt. Alle diese Randbedingungen verlangen 
einers Losungsan.satz, der zwar auf dem Prinzip der modellge- 
^ stutzten Verfahren basiert, dessen Einsatz jedoch in einem 
ESP-System gerecht f err igt sein mufi. 



Die Grundidee der modellgestut zten Fehlerdiagnose ist die 
Prufung physikalischer GesetzmaBigkeiten, die in Form eines 
mathematischen Modells dargestellt sind. Es sei angenommen, 
daft 



y = f (u lf . - . , u m ) [Gl . 1] 

eine dieser physi kalischen Geset zmaftigkeiten beschreibt, 
wobei y das Ausgangssignal des zu Qberwachenden Sensors be- 
zeichnet und u w . . . ,u m die bekannten oder gemessenen physi- 
kalischen Groften und f eine mathemat ische Funktionen dar- 
stellt. In diesem Fall wird die analytische Redundanz y 
aus 



y = /(tt,,...,0 

gebildet und das Residuum r ergibt sich wie f olgt : 

r = y-y 

Das Residuum ist im fehlerfreien Fall im wesentlichen 
gleich Null. Wenn ein Sensorfehler auftritt, verliert diese 
GesetzmaBigkeiten ihre Gliltigkeit, so daft das Residuum si- 
gnifikant von Null abweicht. Die Schwier igkeit bei der Ur.- 
setzung dieser Idee iiegt darin, daft das Modell den Prozeo- 
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ablauf nur teilweise beschreibt. Diese sogenannte Modellun 
genauigkeit laftt sich durch eine Erweiterung des Prozeftmo- 
dells zu 



ausdrucken, wobei A eine unbekannte Grofre ist, die von 
dem Prozelizustand abhangig ist. Eine zuverlassige modellge- 
stutzte Fehlerdiagnose setzt voraus, daft der Einfluli von A 
auf das Residuum r moglichst gering gehalten wird. 

Es gibt prinzipiell zwei Wege, urn den Einfluli von A zu un- 
terdrucken : 

1. ) Erhohung der Robustheit des Uberwachungssystems durch 
Anwendung moderner robuster Regelungstheorien : dies ist ein 
passiver Weg, der im allgemeinen einen aufwendigen Entwurf 
und einen hoheren Rechenauf wand (sowohl Off-Line, als auch 
On-Line) erf ordert . 

2. ) Gewinnung zusatzlicher Inf ormat ionen : dies ist ein ak- 
tiver Weg, der sich auf zwei Arten realisieren lafit, und 
zwar einerseits durch eine Verbesserung des Modells, was 
eine Gewinnung der Of f-Line-Inf ormat ion , jedoch gleichzei- 
tig auch einen zusatzlichen On-Line-Rechenauf wand bedeutet, 
andererseits durch eine Ausnutzung von zusatzlichen On- 
Line-Inf ormationen . Dieser Weg hat sich zur erf indungsgema- 
ften Losung der genannten Problematik als besonders vorteil- 
haft erwiesen. 



y = /( Wl uj + A 
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Die Nutzung der zusatzlichen On-Line-Inf ormat ionen ermog- 
licht es, fur einen zu uberwachenden Sensor ein mehrfaches 
(redundantes) Modell zu bilden und ferner das Verhalten und 
die Funktionalitat dieses Sensors zu rekonst ruieren, und 
zwar anhand der Signale von unterschiedlichen, nicht zu 
uberwachenden Sensoren bzw. Signalquellen . Diese redundante 
analytische Redundanz erhoht zum einem die Zuverlassigkeit 
des Uberwachungssystems, zum anderen aber auch die Robust- 
heit gegen Modellungenauigkeiten . Im folgenden wird eine 
bevorzugte Ausf uhrungsf orm des erf indungsgemafien Verfahrens 
vorgestellt, mit dem diese Grundidee umgesetzt werden kann. 

Es sei angenommen, daft fur das Verhalten eines zu uberwa- 
chenden Sensorsignals mit folgendem Gleichungssystem 

y = f 1 (u llf . . . ,uiJ + A 2 / PZ g GB 2 



y = f n (u nl , . . . , u nm ) + A n , PZ e GB n 

ein Modell gebildet werden kann, wobei u ijf i = l,...,n; j 
= l,...,m Signale aus unterschiedlichen Quellen bezeichnen 
und fi,...,f n Teilmodelle, A, ,...A n Modellungenauigkeiten der 
einzelnen Teilmodelle, PZ den Prozelizustand und GB ir i = 
l,...,n den Bereich, in dem das Teilmodell gultig ist, be- 
zeichnen . 

Die Gultigkeit und die Modellungenauigkei t der einzelnen 
Teilmodelle sind von dem Prozelizustand abhangig. Das Pro- 
blem besteht nun darin, anhand des Mehr f achmodells ein Re- 
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siduum zu bilden, das auf der einen Seite fur die zu ent- 
deckenden Fehler empfindlich und auf der anderen Seite ge- 
gen Modellungenauigkeiten robust ist. 

Die Fahrsituationen werden hierzu in zwei Gruppen einge- 
teilt : 

1. ) Instationare Fahrverhalten, bei denen die Modellunge- 
nauigkeit stark ausgepragt ist und nur eine geringe Anzahl 
von Teilmodeilen gultig ist und 

2. ) Stationare Fahrverhalten, deren Gemeinsamkeit darin be- 
steht, daft die Mehrzahl von Teilmodeilen gultig ist und daft 
deren Modellungenauigkeit gering ist. 

Zu 1.): Instationares Fahrverhalten: Da der absolute Wert 
des Residuums als Residuenauswertef unktion verwendet wird, 
ergibt sich das Residuum r 

Irl-ly-yil-ly- f s (u n , . . . ,u im ) I 

= mini { I y - fi [un, . . . , u im ) | r i = l f ...,n } [Gl. 

2] 

von alien moglichen Residuen am robustesten gegen Modellun- 
genauigkeiten und gleichzeitig auch am unempf indlichsten 
gegen Fehler. Somit wird fur diese Fahrsituat ion festge- 
legt : 
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Wenn die Anzahl der gultigen Teilmodelle deutlich kleiner 
ist als eine vorgegebene Zahi (<< n) , dann wire das Residu- 
ums nach dem Prinzip gemaft [Gl. 2] ausgewertet. 

Wir nennen diese Regel "minimum of all", deren Grundidee 
darin besteht, daft im instat ionaren Bereich, wc die Model- 
lungenauigkeit stark ausgepragt ist, die Robusnheit ver- 
starkt gewichtet wird. 

Zu 2.): Stationares Fahrverhalten : Wenn 

PZ e GBi o GB 2 n , , r\ GB n 

ist, was bedeutet, daft alle oder fast alle Teilmodelle gul- 
tig sind und somit im allgemeinen ein normaler Prozeftzu- 
stand gegeben ist, wird das Residuum mit dem nachstehenden 
Algorithmus ausgewahlt : 

Schritt 1: Bildung des Mittelwertes y 

n 

y =1 / n + i ( X 9t + 9i + i) , 9i + i = y 

i-l 

Schritt 2: Berechnung von | y - j> , | , i = l,...,n+l und 
Auswahl von y is , y i2 , y i3 , welche die geringsten Abweichun- 
gen von y aufweisen, d.h. 

\y-yi<.\, \y-y,: : \, \y-y s - 3 \ < \y-y-\, j * ij, i : , i 3 , 



BEST AVAILABLE COPY 
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j e { 1, . . . , n+1 } 

Schritt 3: Bildung des Residuums r: 

Es sei angenommen, daft 9 a < y i2 ^ 9 13 ist, dann gilt 
r - y - y l2 

Urn das Funkt ionsprinzip dieses Algorithmus zu erlautern, 
betrachten wir zwei Falle: 

a.) Fehlerfreier Betrieb: in diesem Fall gilt fur den "best 
case": 

y L 2 = Y => r = y - y = 0 

Dies bedeutet, daft die Modellungenauigkeit keinen Einfluft 
auf das Residuum hat. Fur den "worst case" gilt: 

y e { 9n, 9i2, 9n ) => r = y - y i2 

Die maximal mogliche Abweichung laftt sich damit gemaft fol- 
gender Gleichung 

Iy-j?i2l = Iy-y+y-yi2l ^ ly - y I + iy-jPi2l ^ 2 ly-yl 

begrenzen. Da die Bildung des Mittelwertes die Modellunge- 
nauigkeit in den meisten Fallen unterdruckt, wird auch die 
durch die Modellungenauigkeit verursachte Abweichung gering 
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gehal ten . 

b.) Sensorf ehler : in diesem Fall gilt fur den "normal ca- 



y * ( 9a, 9iz, 9i3 ) => r = y - y l2 * 0 

Wegen des Fehlers wird das Sensorsignal y stark von seinem 
normalen Wert und damit auch von y ik , k = 1, 2, 3 abwei- 
chen. Als Folge ist die Differenz zwischen y und y i2 groli • 
Fur den "worst case" gilt: 



Dies bedeutet, daft der Fehler nicht detektierbar ist. Die- 
ser Fall kann aber nur dann auftreten, wenn die Grofte des 
Fehlers im Bereich der Modellungenauigkeit liegt. Damit 
wird auch gezeigt, daft die Leistungsgrenze des Uberwa- 
chungskonzeptes im wesentlichen von der Modellungenauigkeit 
bestimmt wird. 

Wie bereits erlautert wurde, setzt das Konzept der Residu- 
enerzeugung eine Prufung der Modellgultigkeit voraus. Diese 
besteht aus einer Prufung der Zuverlassigkei t der Signale, 
die zur Residuener zeugung verwendet werden sollen, sowie 
einer Prufung der Modellgultigkeit entsprechend der Fahrsi- 
tuation . 

Fin Signal wird als zuverlassig bezeichnet, wenn es soft- 
ware- oder hardwaremaftig gepruft ist. Die zuverlassigen Si- 



yi2 



= y => r = 



y - 



= 0 
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gnale konnen entweder Signale aus den anderen Teilfunktio- 
nen des Systems oder Signale aus den anderen Sensoren sein, 
was eine gegenseitige Oberwachung bedeutet. Dies sind die 
On-Line-Inf ormationen, die zur Bildung des Mehrf achmodells 
genutzt werden. 

Wie bereits gezeigt wurde, hangt das erzeugte Residuum 
stark von der Modellungenauigkeit ab, die sich wiederum 
durch unterschiedliche Fahrsituat ionen beeinflussen lalit . 
Es ist daher wunschenswert, eine Residuenauswerteeinheit zu 
entwickeln, die sich adaptiv den Fahrsituationen anpafit. 

Wie allgemein bekannt ist, lafit sich das Fahrverhalten wah- 
rend einer stationaren Fahrt sehr genau beschreiben. Im Ge- 
gensatz dazu ist ein hochdynamisches Fahrmanover mathema- 
tisch schwer nachzubilden . Es ist daher vorteilhaft, Fahr- 
situationen von Fall zu Fall zu unterscheiden und auf die- 
ser Basis die Uberwachungsschwellen und -zeiten adaptiv 
einzustellen . Die Anpassung der Uberwachungsschwellen soil 
einerseits dazu fuhren, daft beim Auftreten eines unplau- 
siblen Sensorsignals eine Fehlermeldung rechtzeitig ausge- 
lost wird, und andererseits falsche Fehlermeldungen, die 
aufgrund der Ungenauigkeit der Nachbildung verursacht wer- 
den konnen, verhindert werden. Dies bedeutet, dafi in einer 
Fahrsituation, in der die Genauigkeit der Sensorsignalnach- 
bildung gering ist, die Schwelle hoch und die Oberwachungs- 
zeit lang eingestellt und im anderen Fall die Schwelle ab- 
gesenkt und die Uberwachungszeit verkurzt werden muft. 

Nachfolgend soil nun die Umsetzung des im letzten Abschnitt 
vorgestellten Konzeptes zur Oberwachung der drei wichtigen 



4SDOCID: <WO. 



.00460B7A1_L> 



WO 00/46087 



PCT/EP00/00538 



- 19 - 

ESP-Sensoren namlich Gierratensensor , Querbeschleunigungs- 
sensor und Lenkradwinkeisensor beschrieben werden. 

Figur 4 zeigt die Struktur des modellgestut zten Oberwa- 
chungssystems fur die ESP-Sensoren, namlich einen Gierra- 
tensensor 13, einen Querbeschleunigungssensor 14 und einen 
Lenkwinkelsensor 15. Fur die Oberwachung jedes ESP-Sensors 
stehen vier redundante Modelle zur Verfugung, solange diese 
gultig sind. Dies sind fur den Gierratensensor 13 die Mo- 
delle Gl bis G4, fur den Querbeschleunigungssensor 14 die 
Modelle Ql bis Q4 und fur den Lenkwinkelsensor 15 die Mo- 
delle LI bis L4 . Die mathemat ische Realisierung der Prozeft- 
modelle und ihre Gultigkeit ist in Tabelle 1 zusammenge- 
fafit. Die in der Tabelle verwendeten Symbole haben folgende 
Definition : 

\j/ m - Modellgierrate, 

a qir . - Modellquerbeschleunigung; 

S lM - Modellenkradwinkel; 

y> - Gierrate; 

a q - Querbeschleunigung; 

S r - Lenkradwinkel ; 

i L - Lenkuberset zung; 
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1 - Radstand; 



S - Spurweite des Fahrzeugs; 

v ch - charakteristische Fahrgeschwindigkeit. 



Tabelle 1: 



Tabelle 
1 


Gleichungen 


Gult igkeitsbedingungen 


Modell 
Gl 




Die vorderen zwei Rader sind 
nicht in Schlupf, 

ihre Fehlerflags sind nicht ge- 
setzt und 

die Nachbildung liegt im gulti- 
gen Bereich. 


Modell 
G2 




Die hinteren zwei Rader sind 
nicht in Schlupf, 

ihre Fehlerflags sind nicht ge- 
setzt und 

die Nachbildung liegt im gulti- 
gen Bereich. 


Modell 




Die Fahrgeschwindigkeit mufr gro- 
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G3 


a n 

" " = v f 


fter als Null sein. 


Modell 
G4 


1// = — 


keine Gegenlenkung, 

keine grofte Lenkung bei hoher 
Fahr zeuggeschwindigkeit . 


Model i 
Ql 


"in, ""I S 


siehe Bedingungen von Modell Gl 


Modell 
Q2 


a "-~ v <« s 


siehe Bedingungen von Modell G2 


Modell 
Q3 




— 


Model 1 
Q4 


a <~ 




Modell 
LI 


7 i » 

*, =^(i + (- , ) I x l '"" v -) 


c i php Rprli nnnnnpn unn MnHo 1 1 ril 

und G3 


Modell 
L2 


s, m =~ o-( lW ) 2 )( v \ Vw ) 


siehe Bedingungen von Modell G2 
und G3 


Modell 







4SDOCID: <W0 0046087A1_I_> 



WO 00/46087 





PCT/EP00/00538 



- 22 - 




siehe Bedingungen von Modell G3 



Modell 
L4 




siehe Bedingungen von Modell G3 



Die Modelle sind in die erste Einrichtung 31 implementiert , 
wobei als Eingangsgroften zur Errechnung der Redundanzen und 
somitzur Ermittlung der Residuen folgende Signale einge- 
setzt werden konnen: 

v vr - Radgeschwindigkeit vorne rechts; 
v v i - Radgeschwindigkeit vorne links; 
v hr - Radgeschwindigkeit hinten rechts; 
v hl - Radgeschwindigkeit hinten links und 
v ref - Fahrzeuggeschwindigkeit ; 

die mit der Teilfunktion des Ant iblockiersystems erzeugt 
werden, sowie die Gierrate, die Querbeschleunigung und der 
Lenkwinkel, die von den drei zu uberwachenden ESP-Sensoren 
13, 14 bzw. 15 stammen. Die errechneten Redundanzen liegen 
zusammen mit dem jeweils zu uberwachenden Sensorsignal an 
der dritten Einrichtung 36 zur Residuenbildung und - 
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auswertung (die in dieser Darstellung auch die zweite Eir.- 
richtung 33 umfalit) an. Nach Dif f erenzbildung zwischen de~ 
jeweiligen Residuum und dem durch die vierte Einrichtung 35 
erzeugten Schwellwert wird mit der funften Einrichtung 3*~ 
die Fehlermeldung F/UG fur den Gierratensensor 13, F/UQ fur 
den Querbeschleunigungssensor 14 bzw. F/UL fur den Lenkwin- 
kelsensor 15 erzeugt, wenn die Differenz einen bestimmter. 
Wert ubersteigt. In Figur 4 sind die dritte, vierte und 
funfte Einrichtung 36, 35, 37 fur jeden Sensor 13, 14, 13 
getrennt dargestellt. 

Die Prufung der Signalzuverlassigkeit erfolgt bei den mi; 
dem Ant iblockiersystem erzeugten Signalen durch das dort 
bestehende Uberwachungssystem . Tritt keine Fehlermeldung 
auf, werden die Signale als zuverlassig und bei einer Feh- 
lermeldung als nicht einsetzbar eingestuft. 

Im Falle der drei oben genannten ESP-Sensorsignale 
(Gierrate, Querbeschleunigung , Lenkwinkel) wird bei dem 
hier beschriebenen Sensoruberwachungssystem das betreffer.de 
Signal als zuverlassig eingestuft, wenn keine Fehlermeldung 
vorliegt, und das System wird stillgelegt, wenn eine Feh- 
lermeldung auftritt. 

Wie oben bereits erwahnt wurde, ist die Methode 
"Ma joritatsprinzip" empfindlich gegenuber einem Sensorfer.- 
ler, wenn ein Sensor defekt ist, wahrend die Methode 
"Minimum of all" robuster gegenuber einer Systemstbrung una 
einem instat ionaren bzw. extremen Fahrverhalten ist. Das irr. 
letzten Abschnitt vorgestellte Oberwachungskonzept wird v;ie 
folgt umgesetzt: 
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Wenn die Anzahl der gultigen Modelle kleiner als drei ist, 
wird das Residuum nach dem Prinzip "Minimum of all" er- 
zeugt. Andernfalls wird das Residuum nach dem 
"Ma joritatsprinzip" gebildet . 

Theoretisch gelten alle diese Prozeftmodel le nur im statio- 
naren beziehungsweise linearen Bereich der Fahrdynamik. 
Wenn die Fahrverhalten nicht mehr in diesem Bereich liegen, 
mussen sowohl die Oberwachungsschwellen erhoht, als auch 
die Oberwachungszeiten verlangert werden. Dies erfolgt 
durch eine Situat ionser kennung in der vierten Einrichtung 
(Schwellwertberechnung) 35 sowie eine Feststellung des Gra- 
des der Abweichung des Fahrverhaltens von dem stationaren 
beziehungsweise linearen Bereich (vgl. Figur 4). Die dazu 
verwendeten Signale sind: die Fahr zeuggeschwindigkeit v ref , 
die vier Radgeschwindigkeiten v vr/ v vl , v hl/ v hr , die Fahr- 
zeuglangsbeschleunigung a lt die ebenfalls aus der Teilfunk- 
tion ABS entstanden ist und dort gepruft wird, sowie die 
errechneten Redundanzen und die anderen ESP-Sensorsignale . 

Diese Oberwachungsschwellen und -zeiten werden durch Unter- 
suchungen des Fahr zeugverhaltens bei verschiedenen Fehler- 
arten in verschiedenen Fahrsituat ionen ermittelt bzw. fest- 
gelegt. Bei einer erkannten Anderung des Gierratensensorsi- 
gnals mit grofiem Gradienten, die keines der moglichen Fahr- 
manover betrifft, wird die Uberwachungszeit deutlich ver- 
kurzt . 

Die Anpassung der Oberwachungsschwellen und -zeiten ist in 
vereinf achter Form in Tabelle 2 zusammengef afit : 
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Tabelle 2: 



Tabelle 2: Uberwachungsschwellen und -zeiten 


Fahrsituation 


Genauigkeit der 
ProzeBmodelle 


Uberwachungs- 
schwelle 


Uberwachungszeit 


Fehler mit 
hohem Gradient 


sonst 


stationare Fahrten: 
Geradeausfahrt und 
stationare Kreisfahrt 


sehr genau 


klein 


sehr kurz 


kurz 


instationare Fahrten, 

deren Fahrverhalten 

in dcr Nahe vom sta- 
tionaren bzw. linearen 


nicht genau 


groB 


sehr kurz 


lang 
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Bereich liegen, z. B. 










Wechselmanover 










Fahrverhalten, die 


nicht darstellbar 


unendlich groB 


unendlich lang 


sehr wcit vom statio- 




(keine Uberwa- 


(keine Uberwachung) 


naren bzw. linearen 




chung) 




Bereich liegen, z. B. 








Schleudermanover 









Die Struktur der Hardware-Realisierung ist in Figur 5 dar- 
gestellt. Diese Struktur umfaftt ein Mikroprozessorsystem 
40, dessen Ausgangssignale einer Einheit 41 zum Bremsen- 
oder Motoreingrif f zugefuhrt wird. 

Das Mikroprozessorsystem 40 umfafit einen Analog/Digital- 
Wandler 401 zur Wandlung der analogen Sensorsignale und ei 
nen daran angeschlossenen digitalen Regelalgorithmus 402, 
an den ein Digital/Anaiog-Wandler 403 zur Erzeugung der 
analogen Ausgangssignale angeschlossen ist. Die digitalen 
Sensorsignale werden aulierdem einem Uberwachnungssys tern 404 
zugefuhrt, an dem auch die von dem digitalen Regelalgorith- 
mus 402 erzeugten Systemgroften anliegen und das dieser Ein- 
heit 402 eine Fehlermeldung ubermittelt. 
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Das ESP-System, das sowohl den digitalen Regelalgorithmus , 
als auch den Uberwachungssystem umfafit, wird vorzugsweise 
in OSprache programiniert und anschliefiend auf dem Mikro 
prozessorsystem 40 implement iert . Die Eingangssignale des 
Mi kroprozessorsystems 40 sind die durch die im Fahrzeug 42 
eingebauten Sensoren 43 erzeugten Signale. Die Ausgangs- 
signale des Mikroprozessorsystems 40 sind die Stellgrofter:, 
die zur Steuerung des Bremsen- oder Motormanagementsystems 
41 gefuhrt werden. Das Uberwachungssystem 404 lauft paral- 
lel zu einem Regelsystem, uberwacht das Gesamtsystem und 
beeinfluftt daher die Regelung nicht, wenn keine Fehler 
festgestellt werden. Wenn ein Fehler entdeckt wird, sender 
das Uberwachungssystems 404 eine Fehlermeldung an den digi- 
talen Regelalgorithmus 402, der damit das ESP-System deak- 
tiviert . 

Das Uberwachungssystem wurde mit zahlreichen Fahrversuchen 
getestet. Als Beispiel sind in den Figuren 6a, b, c die Me- 
liergebnisse von zwei Testfahrten gezeigt, und zwar das Er- 
gebnis einer Fehlersimulation des Gierratensensors bei Ge- 
radeausf ahrt . Figur 6a zeigt das Signal des Gierratensen- 
sors (Linie 1) sowie seine vier Nachbildungen (Linien 2 bis 
5). Figur 6b zeigt den Verlauf des Residuums (Linie 1) und 
die Schwelle (Linie 2 und 3) . In Figur 6c ist schliefllich 
dargestellt, wann eine Fehlermeldung ausgelost wird. 

Aus diesen Da r snel lungen wird deutlich, daft die Gierrate 
sehr genau beschrieben werden kann. Der simulierte Fehler 
wurde innerhalb von 0,25 Sekunden erkannt, bevor die Gier- 
momentregelung mit hohem Druck auf ein Rad einwirkte. 
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Die Figuren 7a, b, c zeigen schlieftlich die Meliergebnisse 
einer Uberwachung des Gierratensensors bei einer Fahrt mit 
einem Wedelmanbver . Wahrend eines solchen Wedelmanovers 
kann die Gierrate wegen der Phasenverschiebung zwischen dem 
Sensorsignal und den Modellsignalen nicht genau beschrieben 
werden. In diesen Situationen laflt sich eine solche Model- 
lungenauigkeit bei einer Modellbildung generell nicht ver- 
meiden. Urn zu verhindern, daft ein falscher Alarm ausgelost 
wird, wird deshalb die Uberwachungschwelle schon am Anfang 
des Wedelns erhdht. Figur 7a zeigt wiederum das Signal des 
Gierratensensors (Linie 1) sowie seine vier Nachbildungen 
(Linien 2 bis 5). In Figur 7b sind der Verlauf des Residu- 
ums (Linie 1) und die Schwelle (Linie 2 und 3) dargestellt, 
wahrend sich aus Figur 7c.ergibt, daft keine Fehlermeldung 
ausgelost wurde. 



Insgesamt wird also ein Verfahren und eine Vorrichtung zur 
Sensoruberwachung bei einem ESP-System beschrieben, bei dem 
der Kern in einer mehrf achmodellgestut zten Erzeugung von 
Residuen besteht, deren Entwicklung in erster Linie unter 
Berucksichtigung der Fahrdynamik und der praktischen Reali- 
sierbarkeit und Einsetzbar keit erfolgt. Mit der Sensoruber- 
wachung kdnnen Sensorfehler und insbesondere solche mit 
grofiem Gradient wahrend der Fahrt entdeckt werden. Das 
Oberwachungssystem bietet eine hohe Zuverlassigkeit, da es 
einerseits gegen Modellungenauigkeiten eine hohe Robustheit 
und andererseits fur Sensorfehler eine hohe Empf indlichkeit 
auf weist . 
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Patentanspruche 

1- Verfahren zur Oberwachung von Sensoren, die jeweils 
einzelne Prozeftf uhrungs- Oder Prozeftmefrgrofren eines 
Prozesses erfassen, 

gekennzeichnet durch eine zyklisch-sequentielle Ober- 
wachung des Verlaufes der Ausgangssignale der einzel- 
nen Sensoren mit folgenden Schritten: 

Erstellen analytischer Redundanzen ( y ) fur eine 
aktuell zu uberwachende Prozeft f tihrungs- oder ProzefJ- 
meftgrofte (C) aus aktuell nicht zu iiberwachenden Pro- 
: >$M$% ■ zeftf uhrungs- und/oder Prozeftmeftgroften (A, B) eines 

aktuell betriebenen Prozesses (32) mittels eines 
Mehrf achprozeftmodells (31; G1-G4; Q1-Q4; L1-L4) fur 
einen Norma lbetrieb, 

Erzeugen von Residuen (r) durch Subtraktion der er- 
stellten, redundanten analytischen Redundanzen ( y ) 
von der aktuell zu iiberwachenden Prozeftf uhrungs- oder 
Prozeftmefrgrofte (C) , 

Auswerten der Residuen (r) mit einer Residuenauswer- 
tefunktion und 

Vergleichen des ausgewerteten Residuums mit einem 
vorgegebenen Schwellwert und Erzeugen einer Fehler- 
meldung (F), wenn das Residuum den Schwellwert fur 
mindestens eine vorbestimmte Uberwachungszeit er- 
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reicht 



Verfahren nach Anspruch 1, dadurch gekennzeichnet , 

daft der Prozeft ein Teil eines elektronischen Fahrsta- 
bilitatsprogramms (ESP) fur Fahrzeuge ist und die zu 
uberwachenden Prozeftf uhrungs- und Prozeftmefigrofien (A, 
B, C) eine Gierrate, eine Querbeschleunigung und ein 
Lenkwinkel sind . 

Verfahren nach Anspruch 2, dadurch gekennzeichnet, 

daft das Verfahren parallel zu dem elektronischen 
Fahrstabilitatsprogramms (ESP) ablauft und dieses de- 
aktiviert, wenn die Fehlermeldung (F) erzeugt wird. 

Verfahren nach einem der Anspruche 1 bis 3, dadurch 
gekennzeichnet, dafl das Mehrf achprozeflmodell aus ei- 
ner Mehrzahl von Teilmodellen (G1-G4; Q1-Q4; L1-L4) 
gebildet wird, mit denen jeweils die zu uberwachende 
Prozeftf uhrungs- oder Prozefrmefigrofte (C) aufgrund von 
physikalischen GesetzmafJigkeiten mit Hilfe anderer 
physikalischer Groften, wie den nicht zu uberwachenden 
Prozeftfuhrungs- oder Prozeftmefigrofien (A, B) , den Rad- 
drehgeschwindigkeiten (v vl , v vr , v hl , v hr ) , demRad- 
stand (1), der Spurweite (S) sowie der Geschwindig- 
keit eines Fahrzeugs (v ref ) , die ebenfalls aus den 
vier Radgeschwindigkeiten ermittelt wird, rekonstru- 
ierbar ist. 

Verfahren nach einem der Anspruche 1 bis 4, dadurch 
gekennzeichnet, daft die Residuenauswertef unktion bei 
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einena instat ionaren, durch eine starke Modellungenau- 
igkeit gepragten Prozeft zustand durch einen Algorith- 
mus nach einem "Minimum of all"-Prinzip gebildet 
wird, bei dem das kleinste aller erzeugten Residuen 
mit dem Schwellwert verglichen wird, und bei einem 
stationaren, durch eine geringe Modellungenauigkeit 
gepragten Prozefizustand ein Algorithmus nach einem 
"Ma joritatsprinzip" vorgesehen ist, bei dem ein Mit- 
telwert der analytischen Redundanzen gebildet und zur 
Erzeugung des mit dem Schwellwert zu vergleichenden 
Residuums diejenige analytische Redundanz verwendet 
wird, die die mittlere von drei Redundanzen mit den 
geringsten Abweichungen vom Mittelwert ist. 

6. Verfahren nach Anspruch 5, dadurch gekennzeichnet, 
daft in dem Fall, in dem die Anzahl der gultigen Mo- 
delle kleiner als drei ist, das Residuum nach dem 
Prinzip "Minimum of all" und andernfalls das Residuum 
nach dem "Ma j oritatspr inzip" gebildet wird. 

7. Verfahren nach einem der vorhergehenden Anspruche, 
gekennzeichnet durch den Schritt des Berechnens und 
Anpassens der Schwellwerte in Abhangigkeit von einem 
Prozefizustand anhand der nicht zu uberwachenden Pro- 
zeftfuhrungs- und der Prozeftmeftgroften (A, B) sowie der 
Raddrehgeschwindigkeiten (v vl/ v vr , v hl , v hr ) und der 
Fahrzeuggeschwindigkeit (v ref ) in der Weise, daft ei- 
nerseits beim Auftreten eines unplausiblen Sensorsi- 
gnals rechtzeitig eine Fehlermeldung ausgelost und 
andererseits falsche Fehlermeldungen aufgrund einer 
groften Modellungenauigkeit vermieden werden. 
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Verfahren nach einem der vorhergehenden AnspriAche, 
dadurch gekennzeichnet , dafi die Uberwachungszeiten 
adaptiv an den aktuellen Prozeflzustand angepaflt und 
so gewahlt werden, dafi eine kurzzeitige Storung eines 
Sensors toleriert wird. 

Vorrichtung zur Oberwachung von Sensoren, die jeweils 
einzelne ProzefJf uhrungs- oder ProzefimefJgroflen eines 
Prozesses erf as sen, 

gekennzeichnet durch eine erste Einrichtung (31) zur 
Berechnung analytischer Redundanzen fur eine aktuell 
zu uberwachende Prozeflf uhrungs- oder ProzeftmeligroBe 
(C) aus aktuell nicht zu uberwachenden Prozefifuh- 
rungs- und/oder ProzeBmeBgrolien (A, B) eines aktuell 
betriebenen Prozesses (32) mittels eines Mehrf achpro- 
zefimodells (G1-G4; Q1-Q4; L1-L4) fur einen Normalbe- 
t r ieb, 

eine zweite Einrichtung (33) zur Erzeugung von Resi- 
duen (r) durch Subtraktion der errechneten, redundan- 
ten analytischen Redundanzen von der aktuell zu uber- 
wachenden ProzeBfuhrungs- oder Prozeiimefigrofie (C) , 

eine dritte Einrichtung (36) zur Auswertung der Resi- 
duen mit einer Residuenauswertef unktion, 

eine vierte Einrichtung (35) zur Erzeugung eines 
Schwellwertes, sowie 
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10. 




11. 



12. 
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eine funfte Einrichtung (37) zum Vergleichen des aus- 
gewerteten Residuums (r) mit dem Schwellwert und zum 
Erzeugen einer Fehlermeldung (F) , wenn das Residuum 
den Schwellwert fur mindestens eine vorbestimmte 
Uberwachungszei t erreicht . 

Vorrichtung nach Anspruch 9, dadurch gekennzeichnet , 
daft der vierten Einrichtung (35) die aktuell nicht zu 
uberwachenden Prozeftf uhrungs- und/oder Prozeftmefigro- 
ften (A, B) zugefuhrt werden, urn mit Hilfe einer Si- 
tuationserkennung den Schwellwert bei einer relativ 
hohen Ungenauigkeit des Mehrf achprozeBmodells anzuhe- 
ben und bei einer relativ geringen Ungenauigkeit des 
Mehrf achprozeBmodel Is abzusenken . 

Vorrichtung nach Anspruch 9 oder 10, dadurch gekenn- 
zeichent, daft die erste bis funfte Einrichtung durch 
ein Mikroprozessorsystem (40) realisiert ist. 

ESP-System fur Fahrzeuge, gekennzeichnet durch eine 
Vorrichtung nach einem der Anspruche 9 bis 11 zur zy- 
klischen Uberwachung eines Gierratensensors (13), ei- 
nes Querbeschleunigungssensors (14) und eines Lenk- 
winkelsensors (15) . 
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